Aprobada la modificación de la LSSI.

Con la entrada en vigor del Real Decreto-ley 13/2012, de 30 de marzo, se introducen cambios en la Ley de Servicios de la Sociedad d la Información y comercio electrónico (LSSI), en lo relativo al envío de comunicaciones mediante correo electrónico y la utilización de cookies.

Como respuesta a diversas directivas europeas, aparece este Real Decreto-Ley que en el ámbito de la LSSI introduce diversas aclaraciones sobre la gestión de los derechos de las personas que reciben comunicaciones electrónicas o que utilizan servicios electrónicos.

Mediante este Real Decreto-Ley se establecen nuevas exigencias entre las que destacan:

• Prohibir el envío de comunicaciones que no identifiquen claramente quién efectúa la comunicación.
• Incluir en cada comunicación una dirección electrónica válida para oponerse al tratamiento de sus datos.
• Como norma general, necesidad de gestionar el consentimiento de las personas para la utilización de archivos o programas que almacenen información (por ejemplo el uso de cookies).

El contenido íntegro de estos cambios está detallado en el artículo 4 del Real Decreto-Ley.

Reducir los costes de TI gracias a una buena gestión de activos

Parto de una premisa que consiste en considerar que el coste de TI está directamente relacionado con la gestión de TI, de manera que una buena gestión puede permitirnos reducir los costes del departamento.

En este sentido, el primer paso para reducir costes es entender qué es lo que tenemos.

• ¿Tenemos alguna manera de evaluar adecuadamente los contratos con terceros?
• ¿Tenemos alguna manera de evaluar si es interesante consolidar dichos contratos, adecuar los niveles de servicio u obtener mejores precios?
• ¿Usamos todo el software que tenemos licenciado?
• ¿Necesitamos todas las aplicaciones que tenemos instaladas?
• ¿Es relativamente fácil detectar y retirar activos obsoletos que pueden suponer costes de licenciamiento y soporte elevados?

Para poder responder a estas preguntas es necesario disponer de un sistema eficaz de control que garantice un correcto seguimiento del ciclo de vida de los activos de TI y sus servicios relacionados (instalación, soporte, mantenimiento…) que permita aumentar el control financiero y operativo.

Gracias a una correcta gestión de activos podremos, entre otras cosas:

• Realizar el seguimiento de los costes totales: costes directos asociados a los costes de adquisición y arrendamiento. Costes indirectos asociados a la instalación, mantenimiento, actualizaciones, gestión de cambios, etc.
• Gestionar las licencias de software.
• Gestionar el ciclo de contratación (solicitudes, pedidos, recibos).
• Gestionar los contratos.
• Gestionar las finanzas (presupuestos, centros de coste, cargos).
• Gestionar la obsolescencia (terminación, datos de limpieza y eliminación...)

¿Cuáles son los tres errores más comunes a la hora de abordar la seguridad de TI?

1. Abordar el tema desde un punto de vista donde prevalece el aspecto técnico

Las personas que iniciamos nuestra carrera profesional como técnicos tenemos tendencia a intentar resolver los problemas también desde un punto de vista técnico. Es de esta manera como pensamos en abordar los retos asociados a la seguridad de la información. La gran mayoría de las soluciones existentes en el mercado tienen su nicho de mercado, su utilidad y su beneficio para la organización. Sin embargo nos olvidamos de dos aspectos fundamentales asociados a la seguridad:

• Más vale poner una tirita en la herida que una venda fuera de ella

Esto básicamente significa que las medidas de seguridad que implantemos deben estar asociadas a los riesgos que tengamos y a las obligaciones legales que sea necesario cumplir. Esto hará, sobretodo, que la seguridad sea rentable para la organización ya que ayudará a hacer un uso racional de los recursos en base a la eliminación de inversiones innecesarias o ineficientes. Una vez tenemos claros los requisitos de seguridad podemos pensar en qué solución existente en el mercado se adapta mejor.

• La seguridad de nuestra organización viene determinada por la seguridad del eslabón más débil.

Si únicamente vemos la seguridad como un “problema” técnico es como si estuviéramos poniendo una puerta blindada en nuestra casa mientras dejamos la ventana abierta. No podemos olvidarnos de las personas y de los procesos que nos van a ayudar a ser eficientes y eficaces a la hora de trabajar la seguridad.

2. No pensar en montar un sistema de gestión

Las organizaciones y su entorno son organismos vivos. La regulación, los procesos de negocio, los servicios de TI, la infraestructura, personas y  procesos que los soportan cambian con el tiempo.

El sistema de gestión nos va a permitir planificar los proyectos y tareas necesarios para garantizar la seguridad de nuestra organización, ejecutar adecuadamente dichos proyectos y tareas, chequear que se están realizando según lo planificado y actuar en consecuencia. En definitiva el sistema clarifica qué se debe hacer, quién y cuándo gracias a la introducción de un modelo de mejora continua que garantice que los objetivos de seguridad se alcanzan y mantienen e incluso mejoran a lo largo del tiempo.

3. Pensar en que la seguridad es sólo un problema del Departamento de TI

Nuestra experiencia nos dice que, generalmente, el negocio ve como algo burocrático, “molesto”, innecesario, las medidas de seguridad que pretende adoptar el departamento de TI. Para que el negocio vea que estas medidas son útiles es necesario que se justifiquen por la necesidad de reducir o eliminar riesgos asociados a los procesos de negocio. Es por tanto imprescindible realizar un análisis de riesgos y un análisis de impacto den el negocio. Es obvio que además es importante concienciar,  formar e implicar a toda la organización en temas de seguridad de TI.

¿Por qué necesito un Catálogo de Servicios?

Según la definición que nos ofrece la edición 2011 de ITIL® un Catálogo de Servicios (Service Catalogue) es una base de datos o documento estructurado con información sobre todos los servicios de TI en producción (Live IT), incluyendo aquellos disponibles para la implementación. El Catálogo de Servicios forma parte de la Cartera de Servicios (Service Portfolio) y contiene información relativa a dos tipos de servicios de TI: los orientados al cliente que son visibles para el negocio; y los de soporte que son requeridos por el proveedor para la provisión de los primeros (ITIL® 2011 Edition: Service Design & Service Strategy Glossary).

Imaginemos una organización cualquiera y supongamos que quiero conocer los servicios de TI que soportan sus procesos de negocio. En la mayoría de los casos la situación será la siguiente:

• El área de TI podrá ofrecer una relación, más o menos detallada, de los servicios que proporciona, aunque probablemente sólo sean los principales, que son los primeros que vienen a la mente cuando se piensa en ello, o corresponden a los que se acepta como propios; porque quién no ha oído alguna vez: “¿y esto lo hacemos nosotros?”.

• El colectivo de clientes y/o usuarios ofrecerá una relación mucho más corta y menos detallada, puesto que la mayoría de ellos, o bien no conoce el concepto servicio de TI, o bien no siempre lo asocia a las prestaciones que recibe, o simplemente no los percibe como tal.

Las consecuencias más habituales de esta situación son la ambigüedad, el desconocimiento, los retrasos en la provisión de algunos servicios, el recurso a apoyarse en “casos precedentes”, los malos entendidos,...En resumen, la mala imagen del área de TI.

¿En qué nos ayuda un Catálogo de Servicios? En mi opinión, las razones son principalmente dos:

1. Sistematización
2. Difusión y comunicación

Recordemos la definición anterior: “documento estructurado”. La sistematización como método proporciona una aproximación analítica a los procesos que se desarrollan en una organización. Lleva implícito su ordenamiento. Por tanto, el esfuerzo realizado en las actividades de registro y de clasificación va a posibilitar el acceso, el control y el manejo ágil de la información.

El ejercicio de pensar, tipificar y clasificar los servicios de TI, y plasmarlo en un documento estructurado, nos lleva al segundo beneficio: facilita su difusión y comunicación.  Difusión que se realizará en dos sentidos, hacia el usuario final y/o cliente, que a través del Catálogo no sólo conocerá realmente los servicios de TI, sino que también podrá percibir el valor que se le ofrece en la entrega de los mismos; y a la vez, hacia la propia área de TI, que ejercerá un mayor control sobre esos servicios y sobre las condiciones específicas de su provisión.

Por tanto, el Catálogo de Servicio va a ser el vehículo, el medio principal que va a proporcionarnos un doble beneficio: conocernos y darnos a conocer mejor.

“La ciencia más útil es aquella cuyo fruto es el más comunicable” 

Leonardo Da Vinci


“ITIL® is a Registered Trade Mark of the Office of Government Commerce in the United Kingdom and other countries"

La AGPD presenta la herramienta “DISPONE” para administraciones públicas

Esta herramienta gratuita pretende ayudar a las administraciones a realizar los trámites necesarios para la notificación de sus ficheros. Desde el pasado 9 de Marzo está disponible a través de la web de la Agencia Española de Protección de Datos.

La normativa actual de protección de datos establece que la creación, modificación o supresión de ficheros de titularidad pública debe realizarse por medio de una disposición general publicada en el BOE o en el Diario Oficial pertinente. Sin embargo, resultaba frecuente la aparición de dudas sobre qué información se debía incluir en este tipo de disposiciones.

Mediante la aplicación “DISPONE” la AGPD pretende ayudar a las administraciones públicas a generar estas comunicaciones. Solamente es necesario ir introduciendo cierta información relativa a la identificación de la propia administración, y del procedimiento a realizar (inscripción, modificación o supresión de ficheros), y automáticamente genera un documento con toda la información que la administración debería incluir en su comunicado.

La credibilidad del CISO

Sí, he de admitirlo, los proyectos de seguridad son los que más me hacen disfrutar. Además, durante estos años de consultor, he tratado con muchos CISOs (Chief Information Security Officer) y me fascina el rol que juegan en la organización. Su trabajo es una continua partida de ajedrez… yo muevo mi ficha, el ciberdelincuente mueve la suya y así sucesivamente…pero… ¿Quién gana la partida?

Es precisamente a la hora de responder a esta pregunta donde quiero profundizar. La seguridad es dinámica ya que el mapa de amenazas, los tipos de ataques, los riesgos y la tecnología avanzan constantemente y el CISO siempre debe anticiparse a este avance para ir mejorando la seguridad de los sistemas de negocio. Para mejorar la seguridad, el CISO pedirá fondos a la Alta Dirección para llevar a cabo sus estrategias y poder mover “su ficha”.

Es aquí donde entra en juego el parámetro clave: La credibilidad.

Pueden darse dos casos:

• Si los incidentes de seguridad han sido pocos y con impactos irrelevantes, el CISO tendrá un “papelón” al explicarle a la Alta Dirección que necesita más fondos para mejorar una “seguridad corporativa” que ya de por sí parece buena. Los directivos pensaran: “ya estamos como todos los años pidiendo más dinero para que luego no pase nada”

• Si por el contrario tienes un escenario de crisis por un incidente de seguridad, tal y como le ocurrió a la Plataforma PlayStation Network de Sony, el CISO podrá pedir fondos, pero su credibilidad estará en entredicho.

Ésta, precisamente, es la encrucijada con la que se encuentra el CISO en la organización, con su credibilidad como factor clave, sabiendo que en el dinamismo de la seguridad la ausencia de incidentes juega por un lado en su contra (aparentemente es seguro lo que no lo es tanto y la inversión puede parecer como no prioritaria) y por otro lado a su favor, reflejando que su trabajo es “tan bueno” que los incidentes no se materializan.

Es clave, por tanto, la conciencia de seguridad en la Alta Dirección y el conocimiento de que la seguridad es un proceso dinámico que si se para es más vulnerable. Es necesario hacerle ver a la Dirección que la seguridad no solo se valora como buena o como mala en función de lo que pase sino también de lo que podría pasar y no pasa. Para ello, he ayudado a muchos CISO a crear esa conciencia y ese conocimiento en las organizaciones a través de la exposición de los nuevos riesgos o brechas que se están presentando en empresas similares y de las que no se es consciente. Esta exposición significa “poner en el tejado” de la Dirección la siguiente cuestión: ¿Estáis dispuestos a asumir estos nuevos escenarios de riesgo?

Es esta pregunta la que gana, casi todas las veces, la partida.

Protección de datos: La verdad sobre la sentencia del Tribunal Supremo

La reciente sentencia del Tribunal Supremo que anula el artículo 10.2.b del Real Decreto 1720/2007 ha hecho saltar todas las alarmas en los medios de comunicación. Titulares como “Barra libre para el trato de datos de carácter personal” o “El fin de la privacidad de las personas” han aparecido en la prensa generalista o en diversos blogs. Sin embargo, ¿qué hay de cierto detrás de estas noticias?

Analizando las primeras noticias que aparecieron en la prensa, una empresa podía pensar que a partir de ahora era posible tratar los datos de las personas a su antojo, sin que ello supusiera incumplir con la normativa aplicable en materia de protección de datos. Sin embargo, para tranquilidad de muchos y perjuicio de otros este hecho es totalmente falso, basta con leer cómo queda el famoso artículo 10 del Real Decreto 1720/2007 tras la sentencia del Tribunal Supremo.

Sin pretender entrar en temas demasiado técnicos, cabe desmentir de forma categórica las noticias que han aparecido, continúa siendo necesario contar con el consentimiento de las personas para cualquier tratamiento de sus datos de carácter personal. Lo único cierto del tema es que se ha eliminado una de las condiciones necesarias para constituir una excepción a dicha norma general, que establecía que dichos datos debían figurar en fuentes accesibles al público.

Más allá del contenido del artículo anulado, lo importante es saber que para que no sea necesario el consentimiento del afectado, deben coincidir una serie de restricciones que continúan siendo válidas, y que correspondientes al artículo 10.2.a). Básicamente exigen que dicho tratamiento esté amparado por una norma con rango de ley o de derecho comunitario, que corresponda al interés legítimo del responsable del tratamiento o cesionario (no basta con alegar interés comercial), y siempre que este interés no prevalezca a los derechos fundamentales de las personas (tales como el honor de las personas y su intimidad).

De hecho, la propia Agencia Española de Protección de Datos ya publicó una nota informativa donde analizaba este hecho, dejando claro su posicionamiento al respecto, incluso antes de que se pronunciase el propio Tribunal Supremo. La propia Agencia establece que atendiendo a las restricciones que permanecen vigentes, la sentencia no supone una modificación sustancial a los principios de la protección de datos de carácter personal.

Con todo ello es fácilmente comprobar que los titulares que se sucedieron a raíz de la mencionada sentencia partían de un análisis erróneo o exagerado y que en la práctica dicha sentencia no afecta sustancialmente a la mayoría de tratamientos que puedan realizarse.